はじめに Webエンジニアの皆さん、日々の業務お疲れ様です。皆さんは、さぞや楽しいエンジニアライフを送っていることでしょう。最近は技術の進歩も落ち着いてきましたので、Rustなんかに手を出して、先行者利益を目論んだりしているのではないでしょうか。 さて、そんな楽しい中、たまにやってくる何とも言い難い案件というのが「WordPressのテーマ作成」です。普段、大規模開発や自社サービスに携わっている方は、WordPressに関わることはないかもしれませんが、請負業務やフリーランスの方には、ふと湧いてくる案件でもあります。そして、何かと言い訳を付け、できる限りWordPress関連の案件は避けているのではないでしょうか。 なぜ、エンジニアはWordPressを嫌うのか エンジニアというのはWordPressを嫌う傾向にありますが、それは何故でしょうか。 プライドがゆるさない WordPress界

SREチームの安達(@adachin0817)です。今回WordPressサーバーであるEC2からECS/Fargateに移行しましたが、紆余曲折を得て、苦労したところ、技術的な部分、最終的には複数のリポジトリを一つにまとめたことなどを紹介したいと思います。まずはプロジェクトとサーバーの構成から説明していきましょう。 ランサーズのWordPressとECS時代のサーバー構成 https://engineer.blog.lancers.jp https://info.lancers.jp https://l-ap.jp https://connect.lohai.jp https://lohai.jp https://tips.lancers.jp https://www.lancers.co.jp https://www.lancers.jp/assistant/cases https:/

wp-k8s: WordPress on privately hosted Kubernetes cluster (Raspberry Pi 4 + Synology) Adnan Hodzic November 12, 2021 Blog post you’re reading right now is privately hosted on Raspberry PI 4 Kubernetes cluster with its data coming from NFS share and MariaDB on a Synology NAS. Purpose of this post is to serve as an ultimate guide on how to build a (prod ready) RPI k8s cluster and deploy WordPress CMS

WordPressサイトの画像を軽量なAVIFに変換できるプラグイン「ShortPixel Image Optimizer」 2024.04.26

意外なところに手を出してきたと思われるかもしれませんが、きっかけは WordPress ＆ Gutenberg なんです。 2015年の Automattic社 Matt Mullenweg 氏の "Learn JavaScript, Deeply" という言葉。そして、バージョン5.4までたどり着いた現在の WordPress と、見え始めた Block Based Theme。 世間では WordPress=PHP という認識がまだまだ強いわけですが、とっくに、Gutenberg=JavaScript（React）なわけです。 すでに見えている未来を考えれば、WordPress=JavaScript と言われる時代もそう遠くはないのではとさえ思います。 なので、自分たちも JavaScript（React）をもっと身近なものにしておかなければと動き始めました。 入門者の通常ルート通り、

2018.05.22We are JavaScripters!でWordPressのフロントエンドをGatsbyにした話をLTしてきたblogltgatsbywordpress 5/21（月）のWe Are JavaScripters!でWordPressのフロントエンドにGatsbyを採用した話をしてきました。 前回のRoppongi.js#2でGatsby + Netlifyの爆速開発をLTしてきたのですが、その続編の話になります。 > スライドスライド https://speakerdeck.com/mottox2/wordpress-gatsby > モチベーションモチベーション 内製出来る体制がありフロントエンドエンジニアがWordPressを担当していると前提の元でのお話です。 エンジニアの工数が割けない状態であればWordPress単体で使い続けるのがいいと思います。 簡単に

It’s like having your own team of WordPress security experts Be the first to know about vulnerabilities affecting your WordPress installation, plugins, and themes. Check your WordPress site for vulnerabilities Scan your site and get a free, instant report of your site safety. Your site URL*

「Yuzo Related Posts」など人気のWordPressプラグインを狙った攻撃活動が観測されているとしてセキュリティベンダが注意を呼び掛けており、また国内でも関連が疑われる被害報告が上がっています。ここでは関連する情報をまとめます。 3月以降脆弱性が確認されたプラグイン 2019年3月以降、脆弱性の悪用が報告されたプラグインは次のもの。 No 報告日 対象のプラグイン インストール数 バージョン 脆弱性 1 2019/03/15 Easy WP SMTP 40万件超 1.3.9以前 管理者への特権昇格 2 2019/03/21 Social Warfare 6万件超 3.5.2以前 XSS（格納型）、任意コードの実行 3 2019/03/30 Yuzo Related Posts 6万件超 5.12.91以前 XSS（格納型） 4 2019/04/09 Visual CSS S

前提・実現したいこと 現在ITインフラ会社のコーポレートサイトを制作しております。 公開用のサーバーは先方で用意してもらったのですが、以下のことがわからない状態です。 ①FTP接続 ②ブラウザからのアクセス方法、ドメイン設定 ③WordPress用にデータベースの作成 普段はヘテムルやエックスサーバーのレンタルサーバーを使用しており、 諸々の設定はコントロールパネルから行い、の情報を元に接続しているのですが、 先方からは接続情報として、サーバーのログイン情報（ユーザー１つとroot権）と リモートコンソール（VNC）接続の情報（IP、ポート、パスワード）をもらいました。 MACのVNCクライアントから接続し、ログインするところまではできました。 FTPクライアントのTransmitから接続を試みているのですが、 リモートコンソールというものに馴染みがなく、 調べても同じようなケースややり方

米セキュリティ機関のUS-CERTによると、これら脆弱性を悪用されれば、リモートの攻撃者にWebサイトを制御される可能性もあるという。 WordPressの更新版は、管理画面でダッシュボードに表示される更新のリンクをクリックすると適用できる。自動更新を有効にしていれば、バックグラウンドで自動的に配信される。 関連記事 「WordPressのアップデートは大至急」　攻撃発生でIPAが注意喚起 Webサイトをマルウェア配布に悪用するために脆弱性が悪用される恐れがあることから、コンテンツ管理でユーザーの多いWordPressの更新を急いで適用してほしいとしている。 WordPressの脆弱性突く攻撃が激増、6万以上のWebサイトで改ざん被害 脆弱性情報が公開されてから48時間足らずの間に悪用コードが投稿され、脆弱性のあるサイトを探して攻撃を試す動きはインターネット全体に広がった。ハッキングされた

WordPress.org が提供する WordPress は、オープンソースのCMS（コンテンツマネジメントシステム）です。 WordPress には、REST API の処理に起因する脆弱性が存在します。 本脆弱性が悪用された場合、遠隔の第三者によって、サーバ上でコンテンツを改ざんされる可能性があります。 本脆弱性を悪用する攻撃コードが確認されていますので、対策済みのバージョンへのアップデートを大至急実施してください。 開発者は本脆弱性を 1 月 26 日に更新された「4.7.2」で修正しましたが、利用者の安全を確保するため、脆弱性の内容については 2 月 1 日まで公開を遅らせていたとのことです。今回のケースを教訓に、今後も最新版が公開された場合は早急にアップデートを実施してください。 2/7 更新 Sucuri 社によると、本脆弱性を悪用して多数のウェブサイトが改ざんされたとの情報

はじめに こんにちは植木和樹＠上越妙高オフィスです。 利用しているEC2を踏み台にした外部への攻撃が行われていると、攻撃先のサーバー管理者からAWS宛に不正利用報告（Abuse）が送られる場合があります。AWSでは報告を受けて、そのサーバー（IPアドレス）の利用者宛に警告メール（Abuse Report）で通知します。 今回、とあるAbuse Reportが届いた際の攻撃手段の調査をメモしたので、主に有用だったlsofとstraceコマンドの使い方についてまとめました。 EC2マネージメントコンソールで状態を確認する まず確認するのはマネージメントコンソールです。AWSから通知のあったIPアドレス（Elastic IP）から、EC2インスタンスを特定します。 次に各種CloudWatchのメトリクスを確認します。外部への攻撃を行われるとNetwork Outが極端に高くなる傾向があります。

Plone 時代のブログ記事、自作ブログ時代の記事、mixi 日記などをまとめて今使っているこのブログに取り込んだ。いやあ疲れた。一番きつかったのが Plone の記事。なにしろ ZODB があつかいにくすぎてどうしようもなかった。二度と使いたくない。二度と使いたくない。次が mixi日記。でもこれは日記や画像を一括取得してくれるソフトがあったのでそれを使わせてもらった。とても助かる。テキストでもHTMLでもいいからとにかくローカルに落としてしまえばこっちのもんだかんね。自作ブログは PostgreSQL で作ってたんだけど DB ダンプが... アップデートが面倒。 Plone には正式なアップデートのやり方があるんだけど、それについて解説してあるサイトが意外と無くてびっくりする。俺も最初のうちはその方法を知らなかった。 その手順もめんどくさい。なにしろ buildout.cfg をいち

Habakiri Bootstrap ベースのシンプルな WordPress テーマ。レスポンシブ、多くのカスタマイズ機能。圧縮された CSS・JS を使用する高速化対策。Microformats 対応。Sass、クラスベースの functions.php。 公式サイトを見る 先日、WordPress の公式テーマディレクトリにテーマ Habakiri が掲載されました。以前掲載された Kotetsu に続き2つ目のテーマ掲載となります。 お使いの WordPress の管理画面にログインし、テーマインストール画面で「Habakiri」と検索すればすぐにインストールできます。このサイトも Habakiri を親テーマとして使っているので、だいたいの雰囲気はわかるかなと思います。 Habakiri の特徴 WordPress テーマ Habakiri には次のような特徴があります。 Boot

コンテンツ管理システム（CMS）のWordPressが5月7日の更新版で修正した脆弱性は、デフォルトで使われているテーマも含めて多数のWordPressプラグインやテーマに影響を及ぼすことが分かった。セキュリティ企業の米Sucuriによれば、情報が公開される前からこの脆弱性を突くゼロデイ攻撃の発生も報告されていたという。 Sucuriの5月6日のブログによると、脆弱性はアイコンフォントパッケージの「Genericons」に含まれる「example.html」というファイルに起因する。悪用された場合、DOM（Document Object Model）ベースのクロスサイトスクリプティング（XSS）攻撃を仕掛けられる恐れがある。 Genericonsは、デフォルトでインストールされているテーマの「TwentyFifteen」や、インストール数が100万を超す人気プラグインの「JetPack」に

セキュリティ企業によれば、WordPress 4.2、4.1.2、4.1.1、3.9.3の各バージョンにクロスサイトスクリプティング（XSS）の脆弱性が存在する。 WordPressは4月27日、コンテンツ管理システム（CMS）最新版の「WordPress 4.2.1」を公開し、深刻な脆弱性に対処したことを明らかにした。脆弱性はこれまでの全バージョンに存在するといい、ユーザーに対して自分のWebサイトを直ちにアップデートするよう強く勧告している。 これに先立ちフィンランドのセキュリティ企業Klikkiは4月26日に公開したアドバイザリーで、WordPress 4.2、4.1.2、4.1.1、3.9.3の各バージョンにクロスサイトスクリプティング（XSS）の脆弱性が存在することを確認したと伝えていた。 Klikkiによれば、この問題を悪用された場合、認証を受けない攻撃者がWordPressの

Webページの表示を高速化するためのWordPress用プラグイン「WP Super Cache」に深刻な脆弱性が発見され、修正のためのアップデートが公開された。 WP Super Cacheはダウンロード数が100万を超えている人気プラグイン。最新バージョンの1.4.4で脆弱性が修正されている。 セキュリティ企業Sucuriの4月7日のブログによると、修正前のバージョンには持続型クロスサイトスクリプティング（XSS）の脆弱性が存在していた。悪用された場合、攻撃者が細工を施したクエリを使って同プラグインのキャッシュされたファイルリスティングページに悪質なスクリプトを挿入することが可能だった。 ただし、このページを表示するためには有効なnonceを必要とすることから、攻撃を成功させるためにはWebサイトの管理者に手作業でその特定の部分を参照させる必要があるという。 問題のスクリプトが実行され